BIDI Swap: la forma en que los links disfrazados pueden terminar estafándote

Una trampa visual que usa el orden del texto para camuflar URLs maliciosas

¿Qué es y por qué deberías conocerlo?

“El engaño está en lo que ves: la URL puede mentir aunque parezca legítima”.

Todos los días hacemos montones de clics y muchas veces no nos tomamos el tiempo de mirar bien a dónde nos llevan esos enlaces; es fácil confiar y terminar en el lugar equivocado, por eso conviene estar atento y desarrollar el hábito de chequear antes de entrar. Mirar dos veces un enlace no lleva nada de tiempo y puede salvarte problemas.

El BIDI Swap es una trampa digital que juega con la forma en que los navegadores muestran las letras para que una dirección peligrosa parezca legítima, y así lograr que alguien entre sin sospechar; no es un truco nuevo, pero se perfecciona con cada estándar y navegador. Los atacantes se aprovechan de detalles técnicos que la mayoría no conoce.

Detrás del nombre hay dos ideas: BIDI, que viene del algoritmo bidireccional que ordena textos en distintos alfabetos, y Swap, que significa intercambiar; juntas permiten que el orden visual cambie sin que lo notemos, creando una ilusión fácil de ejecutar y difícil de detectar. Es un juego con la visualización del texto más que con la URL real.

Cómo aprovechan los ciberdelincuentes el estándar Unicode

Esta técnica aprovecha un estándar internacional, Unicode, que regula cómo se muestran textos en sistemas operativos y navegadores, y los atacantes se la ingenian para insertar caracteres de control invisibles y desordenar la vista, porque los controles no se ven pero modifican la presentación. Unicode es poderoso y, a la vez, una posible puerta de abuso.

¿Cómo funciona en la práctica? Si una URL mezcla idiomas que se leen de izquierda a derecha con otros que se leen al revés, el navegador aplica el algoritmo BIDI para ordenar el texto, y allí es donde aparece la trampa; el cambio ocurre en la capa visual, no en la lógica interna que procesa el enlace. La trampa está en lo que vemos, no en lo que el enlace realmente contiene.

Por ejemplo, una dirección que a simple vista se ve como banco-seguro.com puede estar hecha con caracteres que hacen que el navegador muestre otra cosa, pero por dentro la ruta real lleva a un sitio malicioso; estos emplazamientos son usados para phishing, suplantación de identidad y robar credenciales. La apariencia puede mentir cuando intervienen caracteres invisibles.

Los ciberdelincuentes insertan caracteres de control invisibles —que no se ven— para cambiar la secuencia visual; el resultado es que el usuario crea que está en una página confiable cuando en realidad no lo está, y así escribe datos sensibles con total naturalidad. Los caracteres invisibles son la herramienta del engaño.

El problema no depende del idioma ni del navegador: apareció porque los estándares técnicos permiten estas mezclas y porque algunos programas no alertan al usuario sobre caracteres sospechosos; por eso la mitigación pide cambios en software y en hábitos de las personas. Ni el mejor navegador te salva si no verificás el enlace.

Riesgos y consecuencias

¿Qué riesgos conlleva? Al hacer clic se puede terminar en una web que roba usuario y contraseña, pedir datos personales, instalar malware o engañar para descargar archivos peligrosos; todo en segundos y con un diseño que imita al original. Un clic distraído puede costar mucho.

Lo peor es que a simple vista la URL parece normal, y si uno no revisa con cuidado puede entrar su correo, su clave o datos de la tarjeta en un sitio falso sin darse cuenta; por eso es clave aprender señales de alerta y compartirlas con amigos y familiares. No es paranoia: es prevención.

Para evitar el engaño hay medidas simples y efectivas: pasar el cursor sobre el enlace sin hacer clic para ver la dirección completa, y comprobar que la URL muestra lo que promete antes de entrar; también conviene usar un atajo y copiar el enlace en un bloc de notas para inspeccionarlo. Verificar antes de entrar es una costumbre barata y eficaz.

Verificar que la dirección comience por https:// ayuda a confirmar que la conexión está cifrada, aunque no garantiza que el sitio sea legítimo; es solo un primer filtro útil, pero no reemplaza la comprobación del dominio real ni de su estructura.

Mantener el navegador actualizado reduce las chances de ser víctima, porque los parches suelen incluir defensas ante técnicas nuevas o la detección de caracteres raros; lo mismo vale para el sistema operativo y los plugins que usamos a diario. Actualizar es molestia de cinco minutos que vale oro.

También conviene usar extensiones o herramientas anti-phishing y antivirus que señalen enlaces sospechosos o bloqueen redirecciones a sitios conocidos por fraude; además, algunas extensiones muestran la URL real detrás de lo que el navegador presenta. Las herramientas son un buen aliado para conservar la tranquilidad.

Si recibís enlaces por redes o por mensajes de personas que no conocés, desconfiá; y si el enlace viene de alguien conocido pero parece raro, consultá por otro canal antes de abrirlo; muchas estafas empiezan por mensajes que parecen urgentes o emocionales. La consulta rápida con el emisor puede evitar muchos daños.

Los especialistas recomiendan además escribir la dirección a mano si dudás: entrar al sitio oficial te obliga a ti a teclear y evita caer en trampas visuales; es un método viejo pero efectivo que reduce mucho el riesgo. Ir directo al sitio oficial es la mejor práctica cuando hay dudas.

Para empresas y administradores, hay soluciones para filtrar y bloquear caracteres de control en URLs y advertir cuando una dirección contiene mezcla peligrosa de alfabetos; también se puede configurar el correo corporativo para marcar enlaces sospechosos y educar al personal. La prevención en masa protege a la comunidad.

Recordá que no existe una defensa única: la seguridad es por capas; sentido común, herramientas actualizadas y hábitos de verificación combinados reducen mucho el riesgo de que el BIDI Swap funcione. La seguridad es un conjunto de pequeñas prácticas.

En resumen, el BIDI Swap es una trampa visual que explota reglas de presentación del texto y que puede engañar tanto a usuarios desprevenidos como a profesionales; por eso la precaución es la mejor defensa, y compartir esta info con tu círculo ayuda a que menos gente caiga en la estafa. La prevención se contagia cuando la compartís.

Mirar dos veces, copiar la URL para inspeccionarla o usar servicios que muestran la dirección real son acciones que valen segundos y te pueden salvar de un problema grande; además, enseñar estos pasos a quienes no están acostumbrados es parte de cuidarnos entre vecinos. Compartir buenas prácticas es cuidar a los demás.